The Japan Times - Sécurité informatique: le mot de passe a-t-il dit son dernier mot?

"L'ère des mots de passe touche à sa fin", ont écrit en décembre deux responsables du géant Microsoft, dans une note de blog en ligne.

Mettant en avant une évolution vers des solutions "plus sûres", le géant américain se prépare depuis plusieurs années à ce scénario.

Depuis mai, les comptes des nouveaux utilisateurs proposent par défaut une connexion avec des alternatives aux mots de passe, plus sophistiquées.

En France, le site des impôts a récemment renforcé sa politique de sécurité informatique, en obligeant les utilisateurs à valider leur connexion avec un code reçu par mail, en plus de leur mot de passe.

"Les mots de passe sont souvent faibles et réutilisés", rappelle Benoît Grünemwald, expert en cybersécurité chez Eset, interrogé par l'AFP. En dessous de huit caractères, ils peuvent être déchiffrés en quelques minutes, voire quelques secondes lors d'actes de malveillance.

Et ils sont aussi la cible fréquente de fuites de données, "quand ils sont mal stockés par ceux qui sont censés les protéger, les sauvegarder", complète M. Grünemwald.

Preuve de l'ampleur du piratage: une gigantesque base de données contenant quelque 16 milliards d'identifiants et de mots de passe, issus de fichiers piratés, a été découverte en juin par les chercheurs du média Cybernews.

Autant de failles qui ont entraîné un mouvement coordonné de plusieurs géants de la tech.

- Transition délicate -

L'alliance FIDO (Fast Identity Online Alliance), qui compte parmi ses membres Google, Microsoft, Apple, Amazon, et plus récemment TikTok, travaille à créer et encourager l’adoption de connexions sans mot de passe et promeut l'utilisation des clés d'accès.

Ces identifiants numériques utilisent un appareil tiers comme un téléphone pour autoriser les connexions via un code PIN ou une connexion biométrique (empreinte digitale, reconnaissance faciale), à la place du mot de passe.

Un système qui protège les internautes, souligne Troy Hunt, l'animateur du site Haveibeenpwned ("Ai-je été piégé?", ndlr): "Avec les clés d'accès, vous ne pouvez pas accidentellement donner votre clé à un site malveillant".

Mais pour l'expert australien, cela ne signe pas pour autant la fin du mot de passe.

"Il y a 10 ans, nous nous posions la même question (...), les gens disaient +aurons-nous encore des mots de passe dans 10 ans?+, et la réalité maintenant est que nous avons plus de mots de passe que jamais auparavant", souligne Troy Hunt.

Si nombre de grandes plateformes renforcent la sécurité des connexions, beaucoup de sites continuent de fonctionner avec de simples mots de passe. Et pour les utilisateurs, la transition peut s'avérer délicate.

Les clés d'accès, moins intuitives à utiliser, demandent une première phase d'installation. Et leur réinitialisation, en cas d'oubli du code PIN ou de perte d'un téléphone enregistré comme "appareil de confiance", est plus difficile qu'une simple récupération de mot de passe.

"Ce que les mots de passe ont comme avantage, et la raison pour laquelle nous les utilisons encore, c'est que tout le monde sait comment les utiliser", souligne Troy Hunt.

Pour Benoît Grünemwald, le passage aux clés d'accès requiert de nouveaux réflexes. "Il faut bien prendre soin de la sécurité de son smartphone et de ses appareils, car ce sont eux qui seront les plus ciblés", prévient-il.

T.Ikeda--JT